IT-Wildwuchs stoppen: Strategien gegen Schatten-IT und redundante Software — und wie Unternehmen den Überblick behalten

Der Einkauf nutzt ein Projektmanagement-Tool, für das die IT-Abteilung nichts bezahlt hat — denn der Abteilungsleiter hat es per Kreditkarte abonniert. Das Marketing betreibt eine eigene Analytics-Plattform, die niemand im IT-Portfolio kennt. Die Rechtsabteilung speichert Verträge in einem Cloud-Dienst, der nie sicherheitsgeprüft wurde. Und im Hintergrund laufen Dutzende von SaaS-Abonnements, deren Verlängerungen automatisch abgebucht werden — von Konten, die längst nicht mehr aktiv sind.

Willkommen in der Realität des modernen Unternehmens-IT-Portfolios.

Das Problem hat einen Namen: Schatten-IT. Und es ist in den letzten fünf Jahren nicht kleiner, sondern dramatisch größer geworden — weil SaaS-Tools mit Kreditkarte kaufbar, in Minuten einsatzbereit und oft für Monate oder Jahre unsichtbar sind, bevor jemand die Frage stellt, ob man das wirklich braucht.

Warum Wildwuchs unvermeidlich — aber kontrollierbar — ist

Schatten-IT entsteht nicht aus böser Absicht. Sie entsteht, weil Fachbereiche schnell handlungsfähig sein wollen und der offizielle IT-Beschaffungsprozess zu langsam erscheint. Ein Vertriebsteam wartet nicht vier Monate auf die Freigabe eines Sales-Intelligence-Tools, wenn es morgen verfügbar ist. Eine Marketingabteilung kauft das Social-Scheduling-Tool aus dem Tagesbudget, weil der Antrag in der IT-Queue verschwindet.

Das Ergebnis: In Unternehmen mit 500 bis 2.000 Mitarbeitenden laufen nach Branchenstudien durchschnittlich 40 bis 60 Prozent aller genutzten SaaS-Anwendungen außerhalb der offiziellen IT-Kontrolle. In größeren Konzernen kann dieser Anteil noch höher liegen.

Die Kosten dieser Unsichtbarkeit sind vielfältig:

• Lizenzkosten ohne Mehrwert: Tools, die niemand mehr nutzt, aber weiter bezahlt werden
• Doppelstrukturen: Fachbereiche kaufen, was die IT bereits im Portfolio hat — nur weil niemand davon weiß
• Sicherheits- und Compliance-Risiken: Daten fließen in Dienste, die nicht DSGVO-konform, nicht ISO-27001-zertifiziert oder einfach nicht sicherheitsbewertet sind
• Keine Verhandlungsmacht: Wer keinen Überblick hat, konsolidiert nicht — und zahlt für jeden Anbieter Einzelpreise statt Volumenkonditionen

Das IT-Inventar: Grundlage für alles andere

Bevor eine Organisation Wildwuchs stoppen kann, muss sie wissen, was überhaupt wächst. Das klingt trivial — ist es aber nicht. Ein vollständiges IT-Inventar erfasst drei Dimensionen, die in den meisten Unternehmen voneinander getrennt und oft unvollständig sind:

1. Applikationen: Welche Software läuft in der Organisation — on-premise, im eigenen Rechenzentrum, in der Cloud, als SaaS-Abo? Für jede Anwendung braucht es mindestens: Namen, Kategorie, Hersteller, Hosting-Modell, Nutzerzahl und Aktivitätsstatus.

2. Lizenzen: Was wurde beschafft, was ist in Betrieb, was wird tatsächlich genutzt? Die Lücke zwischen beschafften und genutzten Lizenzen — die sogenannte License-Utilization-Gap — liegt in vielen Unternehmen bei 20 bis 40 Prozent. Jede nicht genutzte Lizenz ist bezahltes Geld, das keinen Gegenwert liefert.

3. Eigentümer: Wer ist für welche Applikation verantwortlich? Wer zahlt die Rechnung, wer hat die Administrationsrechte, wer ist der fachliche Ansprechpartner im Fachbereich? Ohne klare Eigentümerschaft kann keine Applikation sauber betrieben, verhandelt oder dekommissioniert werden.

Schatten-IT aufspüren: vier Quellen, die zusammenspielen müssen

Ein vollständiges Bild entsteht nicht aus einer einzigen Datenquelle. Schatten-IT ist unsichtbar, weil sie bewusst oder unbewusst an der offiziellen Beschaffung vorbeifließt. Um sie sichtbar zu machen, braucht es mehrere Kanäle gleichzeitig:

SSO- und Identity-Provider-Logs: Welche Anwendungen authentifizieren sich über den firmeneigenen Identity-Provider (Okta, Entra ID, etc.)? Jede Applikation, die einen Unternehmens-Login verwendet, ist dort sichtbar — auch wenn sie nie offiziell beantragt wurde.

Kreditkarten- und Expense-Daten: SaaS-Tools auf Firmenkreditkarte sind die häufigste Form von Schatten-IT. Eine systematische Auswertung der Expense-Daten auf Software-Händler gibt innerhalb von Stunden einen ersten Überblick.

Cloud-Access-Security-Broker (CASB) / Web-Proxy-Logs: Was verlässt das Netzwerk in Richtung externer SaaS-Dienste? Proxy-Logs zeigen, welche Domains aktiv angesteuert werden — inklusive aller Dienste, die nie einen offiziellen Antrag gesehen haben.

Mitarbeiterbefragungen und Self-Reporting: Oft die unterschätzte Quelle. Wenn Mitarbeitende anonym angeben können, welche Tools sie tatsächlich nutzen, kommen Anwendungen ans Licht, die in keinem Log erscheinen, weil sie lokal installiert oder browser-basiert genutzt werden.

Von der Inventur zur Governance: wer entscheidet was?

Ein vollständiges Inventar löst das Problem nicht — es macht es erst bearbeitbar. Der nächste Schritt ist eine klare Entscheidungsstruktur: Welche Applikationen werden geduldet, welche in das offizielle Portfolio überführt, welche dekommissioniert?

Bewährt hat sich ein dreistufiges Modell:

• Offizielle Applikationen: Im IT-Portfolio gelistet, sicherheitsbewertet, mit klarem Owner, Lizenzmanagement und Support-Modell
• Tolerierte Applikationen: Nicht zentral betrieben, aber bekannt und bewertet — klares Verfallsdatum oder Überführungspfad ins offizielle Portfolio
• Zu eliminierende Applikationen: Sicherheitsrisiken, DSGVO-Verstöße, Redundanzen oder schlicht nicht mehr genutzt — mit einem Dekommissionierungsplan und Verantwortlichen

Entscheidend ist, dass diese Kategorisierung nicht Aufgabe der IT allein ist. Applikationen haben fachliche Owner in den Fachbereichen — und nur wenn diese in die Entscheidung eingebunden sind, findet eine Governance-Entscheidung auch Akzeptanz.

Lizenz-Optimierung: das stille Sparpotenzial

Neben der Sicherheitsfrage ist die Lizenz-Optimierung das unmittelbarste wirtschaftliche Argument für ein sauberes IT-Inventar. Die wichtigsten Hebel:

Reclaim-Programme: Ungenutzte Lizenzen werden eingezogen und an aktive Nutzer umverteilt — statt neue zu beschaffen. In realen Projekten werden dabei regelmäßig 15 bis 25 Prozent der Lizenzen zurückgewonnen.

Consolidation: Wer drei Tools mit überlappender Funktionalität im Portfolio hat, zahlt dreifache Lizenz-, Wartungs- und Betriebskosten. Portfolio-Konsolidierung ist nach Erfahrungswerten der einzelne größte Hebel zur Lizenzkosten-Reduktion.

Verhandlung mit Nutzungsdaten: Ein Anbieter, dem man belegen kann, dass nur 60 Prozent der erworbenen Lizenzen aktiv genutzt werden, lässt sich bei der Verlängerung deutlich leichter auf niedrigere Volumina und bessere Konditionen ein.

Prävention: Wildwuchs strukturell verhindern

Schatten-IT-Governance ist kein einmaliges Aufräumprojekt. Wer das Problem nicht strukturell adressiert, sieht es nach 18 Monaten in derselben Größenordnung wieder. Drei strukturelle Maßnahmen haben sich in der Praxis bewährt:

Schnelle Beschaffungspfade: Der häufigste Grund für Schatten-IT ist ein zu langsamer offizieller Prozess. Wer einen Fast-Track für Low-Risk-SaaS-Tools einrichtet — Genehmigung in 48 Stunden, vordefinierte Sicherheitsanforderungen, klarer Owner — nimmt dem informellen Weg seine wichtigste Rechtfertigung.

Automatische Erkennung neuer Tools: Wer SSO-Logs und Expense-Daten kontinuierlich auswertet, sieht neue Schatten-IT innerhalb von Wochen — nicht erst nach Jahren. Automatisierte Alerts bei neuen Software-Händlern in Expense-Abrechnungen oder neuen SSO-Verbindungen reduzieren die Dunkelphase dramatisch.

Portfolio-Check bei Neubeschaffung: Jede neue Software-Anfrage aus einem Fachbereich wird automatisch gegen das bestehende Portfolio gematcht. Wer fragt, ob es ein Tool für Aufgabe X gibt, bekommt zuerst eine Antwort aus dem eigenen Portfolio — bevor er extern sucht.

Bezug zum knooing-Portfolio-Modul

Ein strukturiertes IT-Inventar ist die Voraussetzung für alle weiterführenden Portfolio-Entscheidungen: Konsolidierung, Standardisierung, TBM-Kostenzuordnung und Compliance-Nachweise. Im knooing-Portfolio-Modul werden Applikationen mit ihren Lizenzen, fachlichen Ownern und Nutzungsdaten zusammengeführt — sodass die Fragen „Was haben wir?", „Wer ist verantwortlich?" und „Was kostet es wirklich?" jederzeit beantwortbar sind, ohne ein halbjährliches Inventarprojekt anstoßen zu müssen.

Wir dachten, wir hätten 280 Applikationen. Nach einer vollständigen Inventur mit SSO-Auswertung und Expense-Analyse waren es 470. Der Unterschied — 190 Applikationen — war unser Konsolidierungspotenzial. Allein durch Rückgabe ungenutzter Lizenzen haben wir im ersten Jahr knapp 900.000 Euro eingespart.

— IT-Leiter, deutsches Handelsunternehmen, 3.200 Mitarbeitende

Quellen

• Gartner: „Managing Shadow IT" (2024)
• Productiv SaaS Intelligence Report 2024 — Software Utilization Benchmarks
• Zylo SaaS Management Index 2024 — Average SaaS Stack Size and Spend
• BSI: Informationssicherheit bei Cloud-Diensten — Mindestanforderungen und Empfehlungen (BSI-Publikation, 2023)
• Bundesverband Informationswirtschaft, Telekommunikation und neue Medien (Bitkom): Software-Asset-Management — Leitfaden für Unternehmen